EU AI Act: Die Checkliste bis 2. August 2026 für KMU

Hinweis: Dieser Artikel ist eine allgemeine, vereinfachte Einführung und keine Rechtsberatung. Fristen rund um den AI Act haben sich 2026 mehrfach geändert. Die endgültige Bewertung Ihrer konkreten Situation sollte mit einem Rechtsanwalt oder einer spezialisierten Compliance-Stelle erfolgen.

Im Mai haben wir den EU AI Act im Überblick erklärt. Jetzt wird es konkret: Am 2. August 2026 greift die nächste große Stufe der Verordnung. Gleichzeitig hat die EU über den sogenannten Digital Omnibus einen Teil der Pflichten verschoben. Das Ergebnis ist eine Mischung aus echtem Handlungsdruck und entspannten Fristen, und genau diese Mischung sorgt für Verwirrung. Diese Checkliste trennt beides.

Was am 2. August 2026 wirklich in Kraft tritt

Ab dem 2. August 2026 ist der Großteil der verbleibenden Regeln des AI Act anwendbar. Für den Mittelstand sind zwei Punkte besonders relevant.

Erstens die Transparenzpflichten nach Artikel 50. Wer einen Chatbot betreibt, KI-generierte Texte, Bilder oder Stimmen veröffentlicht oder Deepfakes erzeugt, muss das kenntlich machen. Nutzer sollen erkennen können, dass sie mit einer Maschine sprechen oder dass ein Inhalt synthetisch erzeugt wurde.

Zweitens die Durchsetzung für KI-Modelle mit allgemeinem Verwendungszweck (GPAI). Ab diesem Datum kann die EU-Kommission die Pflichten für GPAI-Anbieter durchsetzen, inklusive Bußgeldern. Das betrifft in erster Linie die Hersteller großer Sprachmodelle, nicht den durchschnittlichen Anwender. Für Modelle, die vor dem 2. August 2025 auf den Markt kamen, gilt zudem eine längere Frist bis zum 2. August 2027.

Was über den Digital Omnibus verschoben wurde

Hier liegt die wichtigste Entlastung. Nach der vorläufigen Einigung zum Digital Omnibus vom Mai 2026 wurden die Pflichten für bestimmte Hochrisiko-Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027 verschoben. Anhang III umfasst etwa KI in der Personalauswahl, im Kredit-Scoring oder in der Bildung.

Das heißt aber nicht, dass diese Systeme jetzt unreguliert sind. Die Klassifikation bleibt nötig, und die Verschiebung kann sich im weiteren Verfahren noch ändern. Wer ein Hochrisiko-System einsetzt, gewinnt Zeit für die Dokumentation, nicht die Erlaubnis, das Thema zu ignorieren.

Die Checkliste: Sieben Punkte bis zum Stichtag

1. KI-Inventur abschließen

Listen Sie jedes System mit KI-Funktion auf, auch versteckte Features in CRM, Buchhaltung, Office, Marketing- und HR-Tools. Ohne diese Liste lässt sich keine der folgenden Pflichten sauber erfüllen.

2. Jedes System einer Risikoklasse zuordnen

Verboten, hochrisiko, begrenztes Risiko mit Transparenzpflicht, minimal. Die meisten KMU-Anwendungen landen in den unteren beiden Klassen. Notieren Sie die Einordnung pro System schriftlich.

3. Transparenz an jedem Kontaktpunkt herstellen

Chatbot auf der Website? Hinweis, dass es ein Bot ist. KI-generierte Bilder oder Texte im Marketing? Kennzeichnung. Synthetische Stimmen im Telefonservice? Offenlegung. Gehen Sie Ihre Außenkanäle einmal systematisch durch.

4. AI-Literacy-Nachweis sicherstellen

Die Schulungspflicht nach Artikel 4 gilt seit Februar 2025. Eine kurze, dokumentierte Einweisung mit Datum und Teilnehmerliste reicht als Startpunkt. Ohne Nachweis fehlt im Zweifel die Grundlage.

5. Eine schriftliche KI-Nutzungsrichtlinie festhalten

Welche Tools sind freigegeben, welche Daten dürfen hinein, wer prüft die Ergebnisse, wann muss ein Mensch eingreifen. Eine Seite genügt, wichtig ist, dass es sie gibt.

6. Verantwortliche Person benennen

Eine Person, die das KI-Register pflegt und neue Tools vor der Einführung klassifiziert. In kleinen Betrieben ist das oft die Geschäftsführung selbst, das ist völlig in Ordnung.

7. Hochrisiko-Systeme markieren und beobachten

Falls Sie ein Anhang-III-System nutzen (etwa KI in der Bewerberauswahl), markieren Sie es, beginnen Sie mit der Dokumentation und verfolgen Sie die finalen Fristen. Die Verschiebung auf Dezember 2027 ist ein Vorschlag, kein Schlussstrich.

Was passiert bei Verstößen

Die Bußgeldrahmen sind an die DSGVO angelehnt und teils höher: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Millionen Euro oder 3 Prozent bei Verstößen gegen Hochrisiko- und GPAI-Pflichten, bis zu 7,5 Millionen Euro oder 1 Prozent bei falschen Angaben gegenüber Behörden. Für KMU ist eine verhältnismäßige Anwendung vorgesehen.

Kernaussagen

• Am 2. August 2026 greifen vor allem die Transparenzpflichten (Artikel 50) und die GPAI-Durchsetzung.
• Hochrisiko-Pflichten nach Anhang III wurden über den Digital Omnibus auf den 2. Dezember 2027 verschoben, aber nicht abgeschafft.
• Die AI-Literacy-Pflicht läuft bereits seit Februar 2025 und gilt für jede Unternehmensgröße.
• Das realistische Minimum: Inventur, Klassifikation, Kennzeichnung, Schulung, kurze Richtlinie.
• Fristen ändern sich 2026 laufend, prüfen Sie den Stand vor wichtigen Entscheidungen gegen.

Häufig gestellte Fragen

Was tritt am 2. August 2026 in Kraft?

Der Großteil der verbleibenden Regeln des AI Act wird anwendbar, darunter die Transparenzpflichten nach Artikel 50 und die Durchsetzungsbefugnisse der Kommission für GPAI-Anbieter inklusive Bußgeldern. Hochrisiko-Pflichten nach Anhang III wurden über den Digital Omnibus auf den 2. Dezember 2027 verschoben.

Gilt der 2. August 2026 auch für bestehende KI-Modelle?

Für GPAI-Modelle, die vor dem 2. August 2025 auf den Markt kamen, gilt eine längere Frist bis zum 2. August 2027. Für die meisten KMU ist das relevant, weil sie solche Modelle einsetzen, sie aber nicht selbst anbieten.

Muss ein kleines Unternehmen überhaupt etwas tun?

Ja, zumindest die Basics. Die AI-Literacy-Pflicht gilt seit Februar 2025 unabhängig von der Größe, und die Transparenzpflichten treffen jeden, der Chatbots oder KI-generierte Inhalte einsetzt. Inventur, kurze Richtlinie und klare Kennzeichnungen sind das Minimum.

Wie hoch sind die Bußgelder?

Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Millionen Euro oder 3 Prozent bei Hochrisiko- und GPAI-Pflichten, bis zu 7,5 Millionen Euro oder 1 Prozent bei falschen Angaben gegenüber Behörden. Für KMU ist eine verhältnismäßige Anwendung vorgesehen.